¿Cómo soluciono los errores relacionados con S3 al configurar registros de acceso de ELB?

Descripción breve

Para usar los registros de acceso con su equilibrador de carga, debe adjuntar una política de bucket al bucket de Amazon S3. La política de bucket debe incluir permisos para que ELB escriba en el bucket. 

Nota: Los equilibradores de carga de red solo admiten registros de acceso para los agentes de escucha de seguridad de la capa de transporte (TLS). El registro de acceso contiene información sobre las solicitudes de TLS realizadas al equilibrador de carga de red. Los equilibradores de carga de red no admiten el protocolo de control de transmisión (TCP).

Resolución

Error en el bucket de la región de AWS

Se muestra el error «S3Bucket: my-access-log-bucket no se encuentra en la misma región que ELB: app/my-load-balancer/50dc6c495c0c9188».

Este error se produce cuando el bucket y el equilibrador de carga de Amazon S3 no se encuentran en la misma región de AWS. El bucket de Amazon S3 puede estar en una cuenta de AWS diferente, pero debe estar en la misma región que el equilibrador de carga.

Para resolver este problema, mueva el bucket de S3 a la misma región que el equilibrador de carga.

Error de permiso del bucket

Aparece el mensaje de error «Acceso denegado para el bucket: my-access-log-bucket. Compruebe el permiso de S3bucket».

Este error se produce cuando el bucket de Amazon S3 no tiene una política que conceda permiso para escribir los registros de acceso.

Para resolver este problema, adjunte una política de bucket al bucket de S3 que conceda a ELB permiso para escribir registros en su bucket. Confirme que tiene los marcadores de posición correctos para el nombre y el prefijo de su bucket. Además, confirme que tiene el ID correcto de la cuenta de AWS para ELB, según la región de su equilibrador de carga.

Para obtener más información sobre los permisos necesarios, consulte los siguientes temas:

• Equilibrador de carga de aplicación: Adjuntar una política al bucket de S3
• Equilibrador de carga de red: Requisitos del bucket
• Equilibrador de carga clásico: Adjuntar una política al bucket de S3

Para cifrar los registros de acceso para ELB, puede usar el cifrado del lado del servidor con las claves administradas de Amazon S3 (SSE-S3). Además, los equilibradores de carga de red admiten las claves administradas por el cliente de AWS Key Management Service (AWS KMS) para cifrar los registros de acceso. No puede usar las claves administradas de AWS KMS para cifrar los registros de acceso de ELB.

Error en el espacio de nombres del bucket

Aparece el mensaje de error «El valor de 'access_logs.s3.prefix' no puede empezar por 'AWSLogs'».

Este error se produce cuando el prefijo del bucket de S3 de registros de acceso incluye AWSLogs. Para resolver este problema, elimine AWSLogs del prefijo del bucket de S3 de su registro de acceso.

Resolución de problemas adicionales

Si la política y la configuración de su bucket de S3 son correctas, pero sigue sin poder ver los registros, verifique que el equilibrador de carga reciba tráfico. Compruebe las métricas ActiveConnectionCount y RequestCount del equilibrador de carga.